Реализация двухфакторной аунтификации в SPA node.js + react / redux приложении?

Question

[yaroslav1996]

Дорогие друзья подскажите пожалуйста, у меня уже есть готовая jwt авторизация, но мне ещё нужно сделать двухфакторную аунтификацию посредством sms и google authenticator, честно говоря даже не знаю с чего начинать. Кто сталкивался и кому не сложно направить, или показать несколько примеров как это делаеться в node.js + react/redux приложениях. Заранее всем спасибо!

Answer 1

[Иван Шумов]

Перестать себе ломать мозг и прикрутить что-то вроде Auth0 или Okta. Для on-prem есть Keycloak, но там с sms, вроде, не очень

Comments

[yaroslav1996]

То есть положиться в плане авторизции на сервис, насколько я помню у этих сервисов свои реализации jwt, могу ли я использовать допустим отдельно двухфакторную аунтификацию со свое реализацией jwt. Или брать сервис Auth0 или от AWS и переписывать авторизацию ?

[Иван Шумов]

yaroslav1996,
1. у всех своя реализация. Реализация, напомню, это кусок кода, поэтому это логичкно
2. JWT это формат токена, у него есть спецификация RFC и все сервисы и библиотеки ему соответствуют
3. различия у всех только там где спецификация допускает вариативность
4. JWT это только формат токена и на протокол аутентификации и авторизации не влияет будь то OAuth2, OpenID или еще что-то
4. авторизация всегда на стороне вашего приложения, а аутентификация на стороне клиента. Второй фактор тоже на стороне клиента - так зачем пробовать тащить его к себе?
5. AWS Cognito слегка ущербен, но у него есть плюшки интеграции. Если тесной связанности с IAM нет то выбросить в помойку и использовать прекрасный Auth0

[yaroslav1996]

Иван Шумов, Благодарю за разъяснение :)

[Иван Шумов]

bozuriciyu, хорошо, делай сам тоже самое месяцами, в чем проблема?

[bozuriciyu]

Иван Шумов, что там делать? Ты вообще кодить пробовал, или только в облачных говносервисах тыкаешь? Скоро начнешь аффилейтские ссылки прилагать, честное слово.

[Иван Шумов]

bozuriciyu, ну так, есть чутка ... 12 лет и больше сотни различных проектов разной сложности сойдет для небольшого опыта в разработке, как считаешь?)

[bozuriciyu]

Иван Шумов, из разработки люди не уходят в девопсы.

[Иван Шумов]

bozuriciyu, я в девопсы и не уходил) я ушел в SA. Туда как бы редкий случай когда попадают НЕ из разработки

[yaroslav1996]

bozuriciyu, Чтоб вы посовотетовали и направление в котором стоит двигаться, если нужно могу сбросить пример того как сейчас реализована авторизация? У меня тоже особо желания нет юзать сервисы, так как весь функционал полностью реализован с минимальным использованием пакетов )

[bozuriciyu]

yaroslav1996, не понятен вопрос. Берите и делайте:

https://github.com/yeojz/otplib
https://github.com/speakeasyjs/speakeasy
https://github.com/guyht/notp

Также как и токены делали. Для СМС - нужен сервис, там есть доки.

[yaroslav1996]

bozuriciyu, Благодарю за наводку, проштудирую документацию!